0xNews - 구글 문서 대용으로 인기 있는 Etherpad 에서 심각한 취약점 발견

SonarSource 발표

Etherpad 텍스트 편집기 v.1.8.13 에서 잠재적으로 공격자가 관리자 계정을 가로채고 시스템 명령을 실행하며 중요한 문서를 훔칠 수 있는 새로운 보안 취약점 공개

CVE-2021-34816

CVE-2021-34817 등 두개로 지정

6월 4일 취약점 최초 발견 후 보고

7월 4일 취약점 문제 해결

현재 Etherpad v.1.8.14 에서 패치 제공

Etherpad 는 여러 작성자가 동시에 문서를 편집할 수 있는 실시간 협업 인터페이스

자체 서버에서 호스팅할 수 있는 구글 문서 도구의 오픈소스 대안 중 하나

이번 취약점은 XSS 취약점을 통해 공격자가 관리자를 포함한 Etherpad 사용자 정보를 탈취 가능

이를 통해 민감 정보나 데이터를 탈취하거나 조작하는데도 용이하게 사용 가능

인수 주입 argument injection 취약점은 공격자가 서버에서 임의의 코드를 실행할 수 있게 하여 공격자로 하여금 모든 데이터를 도용, 수정, 삭제를 할 수 있도록 함

또한 서버와 연계된 다른 내부 시스템을 대상으로도 이런 공격을 수행할 수 있음

CVE-2021-34817 은 XSS 취약점으로 채팅 메시지의 userID 속성과 함께 Etherpad 에서 제공하는 채팅 기능을 포함

특수문자를 적절하게 이스케이프하여 공격자가 악성 javascript 페이로드를 채팅 기록에 삽입

피해자의 범위과 대상을 넓혀서 다양하게 공격할 수 있음

CVE-2021-34816 은 Etherpad 가 플러그인을 관리하는 방법과 관련되어 있음

npm install 명령을 통해 설치할 패키지 이름을 적절하게 수정

공격자는 삭제되지 않도록 하여 npm 저장소에서 악성 패키지를 지정하거나 공격자가 생성한 서버의 URL 을 지정하여 다운로드 수행 가능

CVE-2021-34816 을 성공적으로 악용한다면 임의 코드 실행, 시스템 명령 실행 가능

Etherpad 인스턴스와 해당 데이터에 대한 완전한 장악 가능

우려되는 가상 시나리오는 공격자가 두 취약점을 함께 연계

관리자 계정 탈취 후 해당 권한을 사용하여 쉘을 획득하고 서버에서 악성 코드를 실행할 수 있음

Etherpad 관리자는 v.1.8.14 릴리스 노트를 통해 채팅 구성 요소의 지속적인 XSS 취약점을 수정

사용자가 v.1.8.14 로 업데이트를 수행할 수 없는 경우 commit a796811 를 선택하는 것을 권고

데모 동영상

취약점을 자체적으로 악용하는 것은 매우 어려우나 앞서 언급된 인수 주입 취약점이 패치되지 않은 상태로 남아 있기에 사용자와 관리자는 대응을 해야함

이런 문제는 소프트웨어 개발 중 취약점이나 결함을 방지하기 위해 데이터 유효성 검사나 삭제가 얼마나 중요한지 알 수 있음

자그마한 코딩 실수를 공격자가 찾아서 소프트웨어에 대한 추가 공격을 수행할 수 있는 디딤돌이 될 수 있음을 개발자와 조직, 기업에서는 항상 염두에 두어야 함

openLab